该论文研究了多步工具调用型 LLM Agent 中一个此前被忽视的计费安全面。背景是：Agent 依赖宿主运行时（host runtime）在多个回合之间保存状态，而当运行时把外部工具的返回内容再次带入后续模型输入时，服务提供方会对这段内容重复计费。论文指出，一个已被接纳（post-admission）的恶意或被攻陷工具，无需受害者凭据、也无需本地运行时权限，就能把不可信数据转化为持续由受害者付费的处理开销，形成"拒绝钱包"（Denial-of-Wallet）攻击。作者将这种被保留并反复计费的内容命名为"持久计费状态"（persistent billable state），并把宿主在"是否以及如何让该内容进入后续计费上下文"上的决策形式化为"持久计费状态边界"。这是对该后准入生命周期进行的首个系统性安全研究。作者据此归纳出六类拒绝钱包攻击向量，并构建端到端测试框架 DOW-BENCH，在六个模型家族上评估：243 次执行的使用遥测显示，单会话最大累计输入可达该会话首次调用输入的 14,293 倍。通过受控的历史策略重跑，作者隔离出"原始历史保留"本身的贡献：保留原始历史使平均有效会话成本上升 21.2%–35.9%。压缩策略在两个提供方上分别于 10/12 与 11/12 的历史依赖任务中成功，而删除策略每方仅 2/12。为治理该边界，论文提出确定性历史变换与四条宿主侧不变量，在重新摄取（re-ingestion）前限定提示质量、上下文增长、递归机会与累计花费；该内核在 123 次评估重放语料中覆盖了全部复发攻击。在 24 个 Mistral Small 4 工作流中，进度授权策略取得 22/24 的 oracle 验证任务成功率且无完成前中断，固定上限策略仅 13/24。另对 3,830 个 MCP 服务器与传输仓库扫描发现，仅 71 个暴露任何代码可见的防护代理，且无一覆盖全部四类防护。